1. Quem somos e a quem esta Política se aplica

O XMLBox é uma plataforma de tecnologia para gestão de documentos, rotinas e informações fiscais e contábeis, operada por CONTTABILIZE ASSESSORIA E CONSULTORIA CONTABIL LTDA, CNPJ 23.998.377/0001-87, com endereço na Al. Dilson Jatahy Fonseca, 1248, Empório Greco, Loja 13, Stella Maris, Salvador/BA.

Esta Política explica como tratamos dados pessoais de usuários, representantes, colaboradores e clientes dos escritórios e empresas cadastrados, visitantes, contatos de atendimento e pessoas cujos dados constem em documentos ou comunicações processados na plataforma.

2. Nossos papéis segundo a LGPD

O XMLBox atua como controlador quando define as finalidades e os meios do tratamento necessário ao cadastro, autenticação, contratação, cobrança, suporte, segurança, prevenção a fraudes, auditoria e melhoria da plataforma.

Nos dados fiscais, documentos, contatos e demais conteúdos inseridos ou sincronizados pelo cliente, o cliente normalmente atua como controlador e o XMLBox como operador, tratando os dados conforme suas instruções e para prestar os serviços contratados. O cliente é responsável pela legitimidade da coleta, pelo cadastro das empresas e pela autorização para tratar dados de terceiros.

3. Dados que podemos tratar

• Dados cadastrais e profissionais, como nome, CPF, CNPJ, razão social, cargo, telefone, e-mail e vínculo com empresas ou escritórios.
• Dados de autenticação, consentimentos, perfis de acesso, registros de sessão, endereço IP, dispositivo, navegador e trilhas de auditoria.
• Informações fiscais e contábeis presentes em NF-e, NFC-e, CT-e, NFS-e, eventos, guias, declarações, relatórios e arquivos relacionados, inclusive dados de emitentes, destinatários, tomadores, transportadores e responsáveis.
• Certificados digitais, credenciais autorizadas para serviços públicos, caixas de e-mail, integrações e configurações necessárias às funcionalidades escolhidas pelo cliente.
• Conteúdo de atendimentos, solicitações LGPD, mensagens, anexos, contatos e mídias do módulo de WhatsApp quando utilizado.
• Informações de assinatura, plano, cobrança, pagamento, nota fiscal, suporte e relacionamento comercial.
• Dados técnicos de uso, desempenho, erros, segurança e cookies estritamente necessários ao funcionamento e à manutenção da sessão.

Não solicitamos dados pessoais sensíveis como condição geral de cadastro. Eles podem, contudo, constar de documentos ou comunicações enviados pelo cliente, que deve limitar o tratamento ao necessário e possuir base legal adequada.

4. Como obtemos os dados

Recebemos dados diretamente do usuário e do cliente; de representantes e usuários autorizados; de documentos e arquivos enviados; de caixas de e-mail e integrações configuradas; de serviços públicos e fazendários consultados mediante autorização; e automaticamente durante o uso da plataforma.

5. Finalidades e bases legais

Tratamos dados para criar e administrar contas; autenticar usuários; executar o contrato; importar, armazenar, organizar e disponibilizar documentos; integrar funcionalidades fiscais e contábeis; prestar suporte; processar pagamentos; enviar comunicações operacionais; manter segurança, logs e auditoria; prevenir fraude e abuso; cumprir obrigações legais e ordens de autoridades; e exercer direitos em processos.

As bases legais aplicáveis podem incluir execução de contrato e procedimentos preliminares, cumprimento de obrigação legal ou regulatória, exercício regular de direitos, legítimo interesse avaliado conforme o contexto, proteção do crédito e consentimento quando ele for efetivamente necessário. A revogação do consentimento não afeta tratamentos anteriores nem dados mantidos por outra base legal.

6. Compartilhamento e integrações

Podemos compartilhar os dados estritamente necessários com prestadores de hospedagem, armazenamento, segurança, suporte, comunicação, cobrança e infraestrutura, sujeitos a deveres de confidencialidade e proteção de dados.

Conforme os módulos ativados e as ações do usuário, o tratamento pode envolver SEFAZ, Receita Federal/Serpro e outros órgãos públicos; OCI Object Storage; serviços de e-mail via IMAP e SMTP; WhatsApp e seu provedor técnico; Asaas ou outro prestador de pagamento; e OpenAI em funcionalidades de inteligência artificial solicitadas pelo usuário. Dados somente são enviados a uma integração quando isso é necessário à funcionalidade utilizada ou ao cumprimento de obrigação aplicável.

Também podemos atender requisições de autoridades administrativas, fiscais, regulatórias, policiais ou judiciais quando houver fundamento legal. Não vendemos dados pessoais.

7. Inteligência artificial

Funcionalidades identificadas como assistidas por inteligência artificial podem processar trechos de documentos ou informações selecionadas para produzir classificações, análises ou sugestões. O usuário deve revisar os resultados antes de utilizá-los em decisões fiscais, contábeis ou jurídicas. Evite enviar dados excessivos ou sem relação com a finalidade da ferramenta.

8. Armazenamento, transferências e retenção

Os dados podem ser armazenados em infraestrutura própria e de fornecedores de nuvem, inclusive em ambientes localizados fora do Brasil. Quando houver transferência internacional, adotaremos mecanismos e salvaguardas compatíveis com a LGPD e com a natureza do tratamento.

Mantemos os dados durante a relação contratual e, depois dela, pelo tempo necessário para cumprir obrigações legais, fiscais, contábeis e regulatórias, preservar auditoria e segurança, resolver disputas e exercer direitos. Prazos variam conforme a categoria do dado e a finalidade. Encerrada a necessidade, os dados são eliminados, anonimizados ou mantidos de forma bloqueada quando a conservação for exigida ou permitida.

9. Segurança e incidentes

Adotamos medidas técnicas e administrativas proporcionais aos riscos, incluindo controle de acesso, segregação por cliente, criptografia de credenciais aplicáveis, registros de auditoria, backups e monitoramento. Nenhum sistema é absolutamente invulnerável; o usuário também deve proteger senhas, certificados, dispositivos e acessos concedidos à sua equipe.

Em incidente com risco ou dano relevante, serão adotadas medidas de contenção e avaliação e, quando exigido, haverá comunicação aos controladores envolvidos, aos titulares e à Autoridade Nacional de Proteção de Dados.

10. Cookies e dados de navegação

Utilizamos cookies e tecnologias equivalentes necessários para autenticação, segurança, manutenção da sessão e funcionamento da plataforma. O bloqueio desses recursos pelo navegador pode impedir o login ou comprometer funcionalidades. Se cookies não essenciais forem adotados, serão fornecidas informações e controles compatíveis com a legislação aplicável.

11. Direitos dos titulares

Nos limites da LGPD, o titular pode solicitar confirmação do tratamento, acesso, correção, informação sobre compartilhamento, portabilidade quando regulamentada, revisão de decisões automatizadas, anonimização, bloqueio ou eliminação de dados inadequados ou excessivos e revogação do consentimento.

Podemos solicitar informações adicionais para confirmar a identidade e evitar divulgação indevida. Quando atuarmos apenas como operador, a solicitação poderá ser encaminhada ao cliente controlador. Alguns pedidos podem ser negados ou parcialmente atendidos quando a retenção for necessária por obrigação legal, segurança, segredo comercial, exercício de direitos ou outra hipótese legítima, sempre com justificativa.

Solicitações podem ser abertas na área LGPD da plataforma ou enviadas para privacidade@xmlbox.com.br.

12. Responsabilidades sobre dados de terceiros

O cliente deve informar seus usuários e titulares, manter autorizações e bases legais adequadas e limitar o acesso aos dados. Ao inserir documentos, certificados, contatos ou credenciais de terceiros, declara estar autorizado a fazê-lo e deve atender os direitos desses titulares em sua condição de controlador.

13. Atualizações e contato

Esta Política pode ser atualizada para refletir mudanças legais, técnicas ou nos serviços. Alterações relevantes serão destacadas na plataforma e uma nova versão poderá exigir aceite. A versão e a data de publicação ficam indicadas no início do documento.

Controlador: CONTTABILIZE ASSESSORIA E CONSULTORIA CONTABIL LTDA, CNPJ 23.998.377/0001-87. Endereço: Al. Dilson Jatahy Fonseca, 1248, Empório Greco, Loja 13, Stella Maris, Salvador/BA. Canal de privacidade: privacidade@xmlbox.com.br.